ISO 19770-1: O guia para gestão eficiente de ativos de TI

A ISO/IEC 19770-1:2017 é a norma internacional que define os requisitos para estabelecer, implementar, manter e melhorar um sistema de gestão de ativos de TI (ITAM). Publicada em dezembro de 2017 pela ISO em conjunto com a IEC, ela adota o formato Management System Standard (MSS) — com ciclo Planejar-Fazer-Verificar-Agir (PDCA) — e se aplica a qualquer tipo de ativo de TI: hardware, software, serviços e dados, em organizações de qualquer porte.

A norma é uma extensão disciplinar da ISO 55001:2014 (gestão de ativos físicos), com requisitos adicionais específicos para ativos de TI. A conformidade com a ISO 19770-1 não implica conformidade com a ISO 55001 — as duas normas são complementares, não equivalentes. A ISO 19770-1 foi projetada para integrar-se também com a ISO/IEC 27001 (segurança da informação) e a ISO/IEC 20000-1 (gerenciamento de serviços de TI), permitindo que organizações maduras operem sistemas de gestão alinhados.

O que é a ISO 19770-1?

A ISO 19770-1 especifica requisitos para um sistema de gestão de ativos de TI (ITAMS — IT Asset Management System). A edição vigente é a terceira: ISO/IEC 19770-1:2017. Ela foi preparada pelo Comitê Técnico ISO/IEC JTC 1, Subcomitê SC 7 (Software and System Engineering), com participação dos grupos SC 27 (Segurança da Informação) e SC 40 (IT Service Management e IT Governance).

A norma cobre qualquer tipo de ativo de TI — software executável e não executável, hardware físico e virtual, mídias, licenças, contratos, sistemas e ferramentas de ITAM — e se aplica igualmente a ambientes legados, virtualização, computação em nuvem (SaaS, PaaS, IaaS) e práticas BYOD (Bring Your Own Device). Desde 2023, o ITAM Forum mantém um esquema formal de certificação para organizações que desejam comprovar conformidade externamente.

Estrutura da norma: as dez cláusulas do sistema de gestão

A ISO/IEC 19770-1:2017 segue a estrutura de alto nível (High Level Structure / Annex SL) comum às normas de sistemas de gestão ISO, organizada em dez cláusulas:

• Cláusula 4 — Contexto da organização: identificação de questões internas e externas relevantes, compreensão das necessidades das partes interessadas (incluindo licenciantes de software), definição do escopo do ITAMS e do portfólio de ativos de TI coberto.
• Cláusula 5 — Liderança: comprometimento da alta direção, estabelecimento da política de ITAM e definição formal de papéis, responsabilidades e autoridades.
• Cláusula 6 — Planejamento: avaliação e tratamento de riscos de ativos de TI (alinhado à abordagem da ISO/IEC 27001), definição de objetivos de ITAM por processo e elaboração de planos estratégicos e operacionais.
• Cláusula 7 — Suporte: recursos, competências, consciência, comunicação, requisitos de informação e controle de informação documentada — incluindo rastreabilidade de propriedade e trilhas de auditoria de autorizações.
• Cláusula 8 — Operação: execução dos processos de ITAM, incluindo os quatro processos funcionais obrigatórios (8.2 a 8.5) e os processos adicionais definidos pelo Anexo A.
• Cláusula 9 — Avaliação de desempenho: monitoramento e medição, auditoria interna e revisão pela direção.
• Cláusula 10 — Melhoria: tratamento de não conformidades, ações corretivas, ações preventivas e melhoria contínua.

Os quatro processos funcionais obrigatórios (Cláusula 8)

A norma estabelece quatro processos de operação que devem sempre estar presentes no ITAMS — independentemente do escopo ou porte da organização:

• Gestão de mudanças (8.2): avaliação de riscos associados a qualquer mudança planejada antes de sua implementação, além de revisão das consequências de mudanças não planejadas.
• Gestão de dados centrais (8.3): garantia de que os dados de todos os ativos de TI principais — hardware, software, serviços de ativos de TI e, quando no escopo, ativos de conteúdo de informação digital — são registrados com precisão ao longo de todo o ciclo de vida.
• Gestão de licenças (8.4): registro preciso de licenças, entitlements e uso em relação a esses entitlements; reconciliações periódicas entre requisitos, uso e direitos; verificação documentada.
• Gestão de segurança (8.5): gestão efetiva de segurança em todas as atividades de ITAM, incluindo controles de acesso e integridade, para todos os ativos de TI no escopo.

Processos ITAM: ciclo de vida e funcionais (Anexo A)

O Anexo A da norma — de caráter normativo — especifica os processos de operação que a organização deve considerar para inclusão no ITAMS. Eles se dividem em dois tipos:

Processos de ciclo de vida cobrem as fases pelas quais os ativos passam: Especificação, Aquisição, Desenvolvimento, Release (lançamento), Implantação (Deployment), Operação e Aposentadoria (Retirement). Para cada fase, a norma define um objetivo de processo específico — por exemplo, garantir que a aquisição ocorra de forma controlada e documentada, ou que o descarte inclua controles de dados, software e descarte de resíduos eletrônicos conforme regulamentações locais.

Processos funcionais se aplicam transversalmente a múltiplas fases do ciclo de vida. Além dos quatro obrigatórios (gestão de mudanças, dados centrais, licenças e segurança), o Anexo A inclui: Gestão de Relacionamentos e Contratos, Gestão Financeira, Gestão de Nível de Serviço e Gestão de Outros Riscos. Uma Declaração de Aplicabilidade (Statement of Applicability) deve documentar quais processos foram incluídos ou excluídos — e a justificativa para cada decisão.

Os três níveis de maturidade ITAM (Tiers — Anexo B)

O Anexo B da norma — informativo — define três níveis cumulativos de maturidade, pensados especialmente para organizações que não conseguem implementar todos os processos de uma só vez:

• Tier 1 — Dados Confiáveis (Trustworthy Data): o nível de entrada. Significa saber o que a organização possui e ter razoável garantia de conformidade de licenças. Inclui os quatro processos obrigatórios da Cláusula 8. A norma define “dados confiáveis” como dados precisos, completos, relevantes, compreensíveis e disponíveis para os usuários autorizados que deles necessitam.
• Tier 2 — Integração ao Ciclo de Vida (Life Cycle Integration): agrega os sete processos de ciclo de vida do Anexo A, gerando maior eficiência e redução de custos ao longo de toda a vida dos ativos.
• Tier 3 — Otimização (Optimization): incorpora os processos funcionais avançados — gestão financeira, gestão de contratos e relacionamentos, gestão de nível de serviço e gestão de outros riscos — para maximizar eficiência e efetividade transversal.

Os tiers são cumulativos: quem busca o Tier 2 precisa antes atender ao Tier 1; quem busca o Tier 3 precisa atender aos dois anteriores. Para a maioria das organizações, o Tier 1 já representa um salto significativo de maturidade e conformidade.

Por que ativos de TI exigem uma norma própria?

O Anexo C da ISO 19770-1 descreve as características dos ativos de TI que justificam requisitos adicionais em relação à gestão de ativos físicos convencionais. Entre elas: a facilidade de modificar, duplicar e distribuir software sem rastreamento adequado; a complexidade tecnológica (versionamento, flexibilidade de localização, virtualização); as exigências de conformidade de licenciamento — que não existem na mesma escala para ativos físicos —; os cenários de propriedade mista (BYOD, nuvem, terceirização); e os controles específicos necessários na fase de descarte, tanto para proteger dados quanto para atender às regulamentações de resíduos eletrônicos.

Esses fatores tornam a gestão de ativos de TI significativamente mais complexa do que a de ativos físicos — e é exatamente essa complexidade que a ISO 19770-1 foi projetada para endereçar com rigor e sistematicidade.

Benefícios de implementar a ISO 19770-1

• Governança de TI fortalecida: processos alinhados com estratégia de negócio, com rastreabilidade de decisões e trilhas de auditoria documentadas.
• Dados confiáveis sobre o portfólio de ativos: base para decisões financeiras, de segurança e de planejamento estratégico.
• Redução de custos: eliminação de licenças subutilizadas ou em excesso; maior eficiência no ciclo de vida dos ativos.
• Mitigação de riscos: controle documentado de licenças, BYOD, nuvem e terceirização — reduzindo exposição a multas e não conformidades regulatórias.
• Integração com outros sistemas de gestão: compatibilidade nativa com ISO/IEC 27001 (segurança) e ISO/IEC 20000-1 (serviços de TI), facilitando auditorias integradas.
• Credibilidade operacional: padrão reconhecido internacionalmente, com esquema de certificação formal disponível desde 2023.

Como implementar a ISO 19770-1 na prática

1. Diagnóstico e mapeamento inicial: avalie o estado atual dos ativos, dos processos e da governança. Identifique lacunas em relação às cláusulas 4 a 10 da norma. Defina qual tier é o objetivo realista para o primeiro ciclo.
2. Definição de escopo e políticas: determine quais ativos de TI e quais unidades de negócio estarão no ITAMS. Estabeleça a política de ITAM, papéis formais e um Plano Estratégico de Gestão de Ativos de TI.
3. Inventário e dados confiáveis (Tier 1): implemente inventário contínuo e reconciliado com finanças e operações. A gestão de dados centrais (8.3) e a gestão de licenças (8.4) são os processos de maior impacto imediato. Sem dados confiáveis, nenhuma etapa subsequente se sustenta. A gestão de ativos de TI estruturada sobre dados confiáveis é o alicerce de toda a norma.
4. Processos de ciclo de vida (Tier 2): estruture processos para aquisição, implantação, operação e descarte. Inclua controles de modificação, cópia e distribuição de software. A gestão de ativos de software (SAM) é componente crítico desta fase.
5. Declaração de Aplicabilidade: documente quais processos do Anexo A foram incluídos ou excluídos, com justificativas formais — documento obrigatório para qualquer auditoria ou certificação.
6. Integração e melhoria contínua (Tier 3): integre ITAM com finanças, ITSM, segurança e gestão de riscos. Realize auditorias internas periódicas (Cláusula 9.2) e revisões pela direção (9.3). Implemente ações corretivas e preventivas documentadas (Cláusula 10).
7. Preparação para certificação: se a organização desejar certificação formal pelo esquema do ITAM Forum (disponível desde 2023), consolide evidências, trilhas de auditoria e relatórios para a alta direção conforme exigido pela norma.

Quando e para quem a norma se aplica

A ISO 19770-1 foi concebida para qualquer organização — de qualquer porte e setor — que deseje melhorar a gestão de seus ativos de TI. A norma pode ser aplicada a hardware, software, serviços, licenças e contratos. A organização define o escopo: não há exigência de abrangência total na primeira implementação, e começar pelas áreas de maior criticidade é uma estratégia recomendada.

Pontos de atenção e desafios comuns

1. Resistência à mudança: processos novos exigem envolvimento ativo da liderança e desenvolvimento de cultura organizacional — requisito explícito na Cláusula 5 da norma.
2. Inventário inadequado ou dados incompletos: sem visibilidade real dos ativos, é impossível cumprir os requisitos de dados confiáveis do Tier 1.
3. Integração entre áreas: a norma exige alinhamento entre TI, finanças e operações. Silos de informação comprometem a reconciliação de dados exigida pela Cláusula 7.5.
4. Controle de ambientes mistos: BYOD, nuvem e terceirização criam responsabilidades compartilhadas que a norma trata nas Cláusulas 8.7 e 8.8 — e que exigem controles explicitamente documentados.
5. Manutenção contínua: a norma exige melhoria constante — não basta implementar e não revisar. O ciclo PDCA é estrutural, não opcional.
6. Escopo bem dimensionado: um escopo excessivamente amplo pode travar o progresso. É preferível começar com as áreas de maior criticidade e expandir gradualmente para os tiers seguintes.